Exploit no Echo Protocol: US$ 76,7 milhões em eBTC criados, mas perda real ficou abaixo de US$ 1 milhão

O exploit que atingiu o Echo Protocol na blockchain Monad chamou atenção porque parecia inicialmente um roubo de US$ 76,7 milhões em finanças descentralizadas (DeFi). Porém, a análise posterior mostrou que menos de US$ 1 milhão foi realmente retirado do ecossistema.

O motivo é que quase todo esse valor existiu apenas como tokens eBTC criados artificialmente, sem lastro real. O invasor conseguiu usar apenas uma pequena parte desses tokens falsos como garantia para pegar empréstimos em outro protocolo antes que as operações fossem interrompidas.

O que aconteceu

O Echo Protocol é uma plataforma DeFi focada em liquidez baseada em Bitcoin, operando na rede Monad. Seu sistema utiliza o token eBTC, que representa um ativo ligado ao valor do Bitcoin usado em estratégias de empréstimo e liquidez.

Investigadores de segurança descobriram que um invasor conseguiu acesso a uma chave privada administrativa privilegiada associada à implantação do protocolo na rede Monad. Com esse acesso, ele pôde cunhar cerca de 1.000 eBTC sem autorização, avaliados em aproximadamente US$ 76,7 milhões no momento do ataque.

Importante: isso não foi uma falha no código principal do smart contract. O problema foi operacional — o controle da chave administrativa permitia gerar tokens que outros protocolos inicialmente aceitaram como válidos.

Como o invasor conseguiu dinheiro real

Depois de criar os eBTC falsos, o atacante seguiu uma estratégia comum em exploits DeFi: transformar colateral falso em ativos legítimos.

O processo ocorreu assim:

1. Cunhou 1.000 eBTC não autorizados usando a chave administrativa comprometida.
2. Depositou 45 eBTC como garantia no mercado de empréstimos do protocolo Curvance.
3. Tomou emprestados 11,29 WBTC (Wrapped Bitcoin), avaliados em cerca de US$ 867.700.
4. Transferiu esses fundos para Ethereum, trocou por ETH e enviou parte para o mixer Tornado Cash para dificultar o rastreamento.

Como a liquidez disponível para empréstimos contra eBTC era limitada, o invasor não conseguiu converter todo o valor falso em ativos reais antes que o ataque fosse detectado. Por isso, as estimativas apontam perdas reais entre cerca de US$ 816 mil e US$ 870 mil.

Por que parecia um hack de US$ 76,7 milhões

O número que circulou nas manchetes representa o valor teórico dos 1.000 eBTC falsos criados, não o dinheiro realmente retirado do sistema.

Grande parte desses tokens nunca chegou a circular no mercado. Dados on‑chain mostraram que aproximadamente 955 eBTC permaneceram na carteira do invasor.

Depois que o incidente foi contido e a equipe recuperou o controle da chave administrativa, o Echo Protocol queimou esses 955 eBTC, impedindo que fossem usados ou vendidos posteriormente.

Resposta dos protocolos envolvidos

Diversos projetos do ecossistema Monad reagiram rapidamente para conter o problema.

Echo Protocol

• Suspendeu todas as transações cross‑chain durante a investigação.
• Recuperou o controle da chave administrativa comprometida.
• Queimou os 955 eBTC restantes criados durante o ataque.

Curvance

• Detectou atividade anormal em seu mercado ligado ao eBTC.
• Pausou temporariamente o mercado afetado, impedindo novos empréstimos usando o token comprometido.

Relatórios também destacaram que a própria blockchain Monad não foi comprometida. O problema ocorreu apenas na camada de aplicação do Echo Protocol implantada na rede.

As falhas de segurança por trás do ataque

Analistas apontaram vários fatores que permitiram o exploit:

• Chave administrativa comprometida: o invasor obteve controle de uma conta com permissão para cunhar tokens.
• Falta de limites de emissão: o sistema permitia criar grandes quantidades de eBTC sem restrições automáticas.
• Governança fraca: não havia proteções como multi‑assinatura (multisig) ou timelocks para operações críticas.

Essas fragilidades significam que, uma vez comprometida a chave, o invasor ganhou efetivamente poder de administrador sobre o protocolo.

Um padrão cada vez mais comum em hacks DeFi

O caso do Echo Protocol reflete uma tendência mais ampla em 2026: muitos ataques recentes não exploram falhas complexas de código, mas sim problemas de governança ou gestão de chaves privadas.

Quando uma chave administrativa é roubada ou comprometida, o atacante pode executar ações legítimas dentro do sistema — como cunhar tokens ou mover fundos — contornando completamente as proteções do smart contract.

Conclusão

O incidente do Echo Protocol mostra um paradoxo frequente em DeFi: um exploit pode gerar dezenas de milhões em ativos falsos sem causar perdas reais equivalentes.

Embora cerca de US$ 76,7 milhões em eBTC tenham sido criados artificialmente, a rápida resposta do ecossistema limitou a perda efetiva para menos de US$ 1 milhão. Ainda assim, o caso reforça um alerta importante para projetos DeFi: proteger chaves administrativas e mecanismos de governança pode ser tão crítico quanto auditar o código do protocolo.